Perfil actual, perfil objetivo y niveles

Un perfil organizacional recoge, para las subcategorías que importan, cómo se logra cada resultado. El perfil Actual especifica los resultados que la organización logra hoy (o intenta lograr) y en qué medida. El perfil Objetivo especifica los resultados deseados y priorizados, y considera cambios previstos: requisitos nuevos, tecnología nueva, tendencias de amenaza. Un perfil comunitario es una base publicada para un sector o un caso de uso; una organización puede partir de él para su propio Objetivo.

El documento ilustra cinco pasos: acotar el perfil, reunir la información, crear el perfil, analizar las brechas entre Actual y Objetivo y armar un plan de acción, e implementar el plan y actualizar el perfil. Se repite cuantas veces haga falta. El primer paso no es la lista de controles: es decidir el alcance (toda la organización, una unidad, o un escenario como el ransomware sobre los sistemas financieros).

Los Tiers describen el rigor con que una organización gobierna y gestiona su riesgo de ciberseguridad: Partial (Tier 1), Risk Informed (Tier 2), Repeatable (Tier 3) y Adaptive (Tier 4), una progresión desde respuestas informales hasta enfoques ágiles, informados por el riesgo y en mejora continua. Una organización puede usarlos para dar contexto a su perfil Actual y a su Objetivo; no son obligatorios.

El documento dice que los Tiers deben complementar la metodología de gestión de riesgo, no reemplazarla, y que subir de Tier se recomienda cuando los riesgos o los mandatos son mayores, o cuando un análisis de costo-beneficio indica que reducir el riesgo es factible y rentable. En Montelar el gerente pide Tier 4 «en todo, porque es lo máximo». La respuesta de un analista GRC no es un sí ni un no: es preguntar qué riesgo o qué mandato lo justifica.

En Montelar, el perfil usa una escala propia de 0 a 3 (0 no existe, 1 informal, 2 documentado, 3 operando y medido): el CSF pide caracterizar cómo o en qué medida se logra cada resultado, pero no te da la escala; la defines tú y la dejas escrita para que otro la lea igual. La brecha de una subcategoría es el nivel Objetivo menos el nivel Actual.

Abre el perfil, ordena las brechas de mayor a menor y mira cuál es la primera. Es el dato que abre la conversación con el comité, aunque todavía no es el orden de trabajo: ese lo da el riesgo que hay detrás.

El perfil Actual no es una autoevaluación optimista: cada nivel se sostiene con evidencia, la misma lógica de toda la ruta. Un 3, «operando y medido», exige que haya registros de que el resultado se logra de forma repetida. En el perfil de Montelar solo una subcategoría se declara en 3.

Abre las filas con Actual igual a 3 y lee la evidencia que la acompaña. Lo que importa no es el nivel, sino si la celda de evidencia lo respalda.

La subcategoría que acabas de encontrar se declara en 3 y su Objetivo también es 3: en la tabla de brechas aparece con cero, es decir, sin trabajo pendiente. Pero la evidencia dice que la revisión de permisos se hizo una sola vez. Si dejas la fila como está, el plan no le asigna nada, y la próxima auditoría encuentra el hueco por ti.

Un analista no corrige el perfil a escondidas ni lo deja pasar: reevalúa el nivel con la evidencia, lo anota con su fecha y su fuente, y pasa la brecha resultante al análisis.